Ein gestohlener oder verlorener Laptop ist ärgerlich, ein Laptop mit ungeschützten Firmendaten kann für ein Unternehmen teuer werden. Neben Softwarelösungen wie Firewalls und Virenschutz bieten robuste Laptops eine Reihe physischer und firmwarenaher Schutzmechanismen: SSD-Verschlüsselung nach OPAL 2.0, das Kensington-Schloss, ein nach NIST-Richtlinien abgesichertes BIOS, ein TPM-2.0-Chip-Modul und Fingerabdruck-Scanner. Dieser Artikel stellt die fünf Mechanismen vor, vergleicht ihre Sicherheitsstufen und zeigt, welche davon die aktuellen Durabook-Laptops laut Datenblatt bieten.
OPAL ist ein Standard für die Verwaltung selbstverschlüsselnder Laufwerke. Die aktuelle Version für Notebooks ist OPAL 2.0: eine softwaregestützte Verschlüsselung, deren Rechenlast auf die SSD selbst ausgelagert wird und damit die CPU entlastet. OPAL 2.0 ist mit allen gängigen Betriebssystemen kompatibel und bietet eine zentral verwaltbare Sicherheitsrichtlinie inklusive Passwortwiederherstellung und Benutzerverwaltung. Der Nachteil gegenüber einer vollständig hardwarebasierten Verschlüsselung: OPAL 2.0 bietet nicht denselben allumfassenden Schutz, kann aber im laufenden Betrieb flexibler verwaltet werden.
Das Kensington-Schloss ist ein Sicherungskabel mit Schloss, mit dem sich mobile Geräte an einem festen Punkt verankern lassen. Der Sicherheitsmechanismus wurde bereits 1992 entwickelt, doch tragen bis heute alle vergleichbaren Schlösser diese Bezeichnung. Hochwertige Ausführungen verfügen über speziell positionierte Buchsen, sodass ein gewaltsames Herausbrechen das Gerät unbrauchbar macht statt nur das Schloss zu lösen. Der Nachteil: Das Stahlseil lässt sich mit einem Seitenschneider durchtrennen, und ohne eine solide Verankerung am Arbeitsplatz bietet das Schloss kaum Schutz.
Das National Institute of Standards and Technology (NIST) veröffentlicht Sicherheitsrichtlinien für BIOS-Implementierungen. Ein danach abgesichertes BIOS erkennt unautorisierte Änderungen am eigenen Code, die während des Startvorgangs das Ausführen bösartiger Software ermöglichen könnten, und meldet kritische Konfigurationsänderungen. Dieser Schutzmechanismus greift damit vor dem eigentlichen Betriebssystemstart und schließt eine Lücke, die reine Softwarelösungen nicht abdecken können.
Trusted Platform Module (TPM) bezeichnet einen kleinen physischen Chip auf dem Mainboard, der als zusätzlicher Sicherheitsanker dient. TPM 2.0 übernimmt unter anderem die Festplattenverschlüsselung, den Schutz vor Firmware-Manipulation durch BIOS-Rootkits, die biometrische Authentifizierung und die Übermittlung des Systemzustands beim Zugriff auf Cloud-Dienste. Ein Nachteil aus Nutzersicht: Die Kontrollmöglichkeiten über die im TPM gespeicherten Schlüssel sind eingeschränkt, was bei Geräteausfall oder -tausch zu Mehraufwand führen kann.
Ein Fingerabdruck-Scanner bietet hohen Bedienkomfort und eine zuverlässige Identifikation, ohne dass sich Nutzer Passwörter merken müssen. In der Praxis kommt es beim Auslesen gelegentlich zu Fehlerkennungen, und Fingerabdrücke lassen sich grundsätzlich nachbilden. Für den Alltagseinsatz mit moderatem Schutzbedarf ist der Komfortgewinn gegenüber Passwörtern trotzdem erheblich; für hochsensible Umgebungen sollte der Fingerabdruck-Scanner mit einem weiteren Faktor kombiniert werden, etwa einem Smartcard-Leser.
Laut Datenblatt unterscheiden sich die drei aktuellen Durabook-Laptops in ihrer Sicherheitsausstattung deutlich. Das Durabook S14I kombiniert serienmäßig einen Smartcard-Leser mit einem TPM-Modul. Beim Durabook S15 lassen sich ein Fingerabdruckscanner und ein Smartcard-Leser optional über den Konfigurator hinzufügen. Das ältere Durabook S15AB bietet TPM 2.0, ein Kensington-Schloss sowie optional einen Smartcard-Leser als Ausstattung.
Sowohl das Durabook S15 als auch das Durabook S14I setzen auf Intel®-Prozessoren mit vPro™-Unterstützung. vPro™ selbst ist kein Verschlüsselungs- oder Zugriffsschutzmechanismus, ermöglicht aber die zentrale Fernwartung und -konfiguration einer Geräteflotte, was Sicherheitsrichtlinien unternehmensweit durchsetzbar macht, ohne jedes Gerät einzeln aufzusuchen. Das ist besonders bei robusten Laptops im Feldeinsatz relevant, weil ein physischer Zugriff für IT-Personal oft nur selten möglich ist.
Neben Datenverschlüsselung spielt bei robusten Laptops auch der physische Zugriffsschutz eine Rolle: Wer ein Gerät mit austauschbarem Akku im Feld einsetzt, sollte darauf achten, dass der Akkufachverschluss nicht ohne Werkzeug zu öffnen ist. Ebenso relevant sind deaktivierbare USB-Anschlüsse, mit denen sich unautorisierte Datenübertragung per USB-Stick unterbinden lässt, sofern das jeweilige Betriebssystem oder eine zusätzliche Managementsoftware dies unterstützt. Für Geräte mit optionalem RS232- oder RJ45-Anschluss gilt dasselbe Prinzip: Ein nicht benötigter Anschluss lässt sich in der Regel per Richtlinie deaktivieren, statt ihn dauerhaft offen zu lassen.
Keine der hier beschriebenen Sicherheitsfunktionen ersetzt eine regelmäßige Datensicherung. TPM-2.0-verschlüsselte Daten sind zwar vor unbefugtem Zugriff geschützt, bei einem Defekt des TPM-Chips oder der SSD selbst sind sie ohne Backup aber ebenso unwiederbringlich verloren wie unverschlüsselte Daten. Für den Feldeinsatz empfiehlt sich deshalb eine automatisierte Sicherung auf einen zentralen Server, sobald ein Gerät wieder Netzwerkzugriff hat, statt sich ausschließlich auf lokale Verschlüsselung zu verlassen.
Neben dem reinen Fingerabdruck-Scanner unterstützen aktuelle Windows-Versionen die biometrische Anmeldung über Windows Hello, die Fingerabdruck- oder Gesichtserkennung mit dem TPM-Modul koppelt. Dadurch wird der biometrische Schlüssel nicht im Betriebssystem selbst, sondern im TPM gespeichert, was den Schutz gegenüber reiner Softwarelösungen zusätzlich erhöht. Für Unternehmen mit vielen mobilen Mitarbeitenden reduziert das außerdem den Support-Aufwand, der sonst durch vergessene Passwörter entsteht.
Für den Einsatz mit moderat sensiblen Daten reicht häufig eine Kombination aus OPAL-2.0-Verschlüsselung und Passwortschutz. Wer Geräte im Außendienst oder auf Baustellen einsetzt, wo ein Diebstahl wahrscheinlicher ist, sollte zusätzlich ein Kensington-Schloss und TPM 2.0 einplanen. Für hochsensible Umgebungen mit strengen Compliance-Vorgaben, etwa im Gesundheitswesen oder bei Behörden, empfiehlt sich die volle Kombination aus TPM 2.0, Smartcard-Leser und zentraler vPro™-Verwaltung. Die folgende Faustregel hilft bei der Einordnung: Je größer die Anzahl der Geräte in der Flotte und je höher der Schutzbedarf der verarbeiteten Daten, desto eher lohnt sich der Mehraufwand für Smartcard-Infrastruktur und zentrale Verwaltung gegenüber einer reinen Passwortlösung.
Die Geräte von Robustbook lassen sich je nach Modell mit den hier beschriebenen Sicherheitsfunktionen konfigurieren. Wir bieten mit dem Durabook S14I, dem Durabook S15 und dem Durabook Z14I robuste Laptops für den Außeneinsatz an, alle mit Aluminium-Magnesium-Gehäuse und MIL-STD-810H-Zertifizierung. Für eine Beratung zur passenden Sicherheitsausstattung für Ihre Branche und Ihren Compliance-Bedarf steht das Team über die Kontaktseite zur Verfügung.